Które polecenie systemu operacyjnego Linux jest stosowane do śledzenia komunikacji pakietów TCP/IP lub protokołów transmitowanych lub odbieranych w sieci komputerowej, do której podłączony jest komputer użytkownika?
A. ssh
B. route
C. ipconfig
D. tcpdump
Pytanie z egzaminu CKE, czerwiec 2016 (arkusz E.13-X-16.05).
tcpdump to właściwe polecenie, bo służy do przechwytywania i analizowania pakietów przesyłanych przez interfejs sieciowy w systemach Linux/Unix. Narzędzie pracuje blisko stosu TCP/IP i pozwala podejrzeć ruch Ethernet, IP, TCP, UDP, ICMP, ARP i wiele innych protokołów. W praktyce administrator używa go np. gdy chce sprawdzić, czy komputer faktycznie wysyła zapytania DNS, czy serwer odpowiada na połączenia TCP albo czy w sieci pojawiają się pakiety ARP. Przykładowo polecenie tcpdump -i eth0 tcp port 80 pokaże ruch TCP na porcie 80 dla interfejsu eth0, a tcpdump host 192.168.1.10 ograniczy podgląd do konkretnego hosta. Z mojego doświadczenia to jedno z tych narzędzi, które często szybciej pokazuje prawdę niż sama konfiguracja w plikach. Dobrą praktyką jest uruchamianie go świadomie, zwykle z uprawnieniami roota, filtrowanie ruchu za pomocą wyrażeń BPF i zapisywanie przechwyceń do pliku pcap, który potem można otworzyć np. w Wiresharku. Trzeba też pamiętać o zasadach bezpieczeństwa i prywatności, bo pakiety mogą zawierać dane użytkowników, czasem nawet bardzo wrażliwe.
W tym pytaniu chodzi o narzędzie do śledzenia pakietów TCP/IP, czyli o podgląd tego, co faktycznie jest transmitowane lub odbierane przez kartę sieciową. Tu łatwo pomylić różne polecenia sieciowe, bo każde z nich jakoś kojarzy się z siecią, ale ich zastosowanie jest inne. ssh służy do zdalnego logowania i bezpiecznego wykonywania poleceń na innym komputerze. Działa na bazie szyfrowanego połączenia, zwykle przez port 22, ale nie jest analizatorem ruchu sieciowego. Można przez ssh wejść na serwer i tam uruchomić diagnostykę, jednak samo ssh nie pokaże pakietów przechodzących przez interfejs. route jest związane z tablicą routingu, czyli informacją, którędy system ma wysyłać pakiety do konkretnych sieci. Przydaje się przy diagnozowaniu bramy domyślnej albo tras statycznych, ale nie przechwytuje pakietów i nie analizuje protokołów. ipconfig natomiast jest typowe dla Windows i pokazuje konfigurację IP interfejsów, np. adres IPv4, maskę, bramę czy DNS. W Linuksie częściej używa się ip addr, ip route albo starszego ifconfig. Typowy błąd myślowy polega na tym, że ktoś widzi słowo sieć i wybiera dowolne znane polecenie sieciowe. Moim zdaniem lepiej zapamiętać funkcję: tcpdump podsłuchuje i filtruje pakiety, route ustawia lub pokazuje trasy, ssh łączy zdalnie, a ipconfig opisuje konfigurację w Windows. Do analizy ruchu zgodnej z dobrą praktyką diagnostyczną potrzebny jest właśnie tcpdump, najlepiej z dobrze dobranym filtrem, żeby nie zbierać całego szumu z sieci.